VLAN (虛擬區域網路) 將二層廣播域邏輯切分，提升安全與效能。四種主流劃分方式各有適用場景：
1. 基於端口 (Port-based VLAN) — 最普及、最簡單
- 原理： 以交換機物理端口為邊界劃分 VLAN。
- 單交換機： 端口 1-8 → VLAN 10，端口 9-16 → VLAN 20。
- 跨交換機： 透過 Trunk 連接 (802.1Q 標籤) 延伸 VLAN。
- 優點： 硬體級執行、線速轉發、設定直觀、所有廠商支援。
- 缺點： 用戶移動換埠需管理員重新配置，無法隨人漫遊。
2. 基於 MAC 位址 (MAC-based VLAN)
- 原理： 依網卡唯一 MAC 位址劃分，用戶換埠自動保留 VLAN 成員身分。
- 優點： 真正「人隨網走」，適合熱插拔/流動辦公環境。
- 缺點： 需維護龐大 MAC-VLAN 映射表，規模擴大時管理極其困難；無法防禦 MAC 偽造。
3. 基於路由 / IP 子網 (Layer 3 / IP-subnet VLAN)
- 原理： 依 IP 子網劃分 (如 192.168.10.0/24 → VLAN 10)，三層交換機/路由器執行。
- 優點： 跨交換機無縫延伸、一個端口可屬多 VLAN (IP secondary)、易於路由整合、廣播風暴控制效果最佳。
- 缺點： 需三層硬體支援、轉發延遲略高於純二層、VLAN 間通訊必經路由引擎，非線速。
4. 基於策略 (Policy-based VLAN)
- 原理： 綜合應用層資訊 (應用類型、用戶身分、時間、裝置型別) 動態指派 VLAN。
- 優點： 最高彈性，支援零信任架構、動態分段 (Micro-segmentation)。
- 缺點： 需深度封包檢測 (DPI) 或 NAC 整合、設備成本高、配置複雜、延遲最高。
選型建議
| 場景 | 推薦方式 |
|---|
| 固定桌面、伺服器機房、AP 固定接入 | 端口 VLAN (最穩定、效能最佳) |
| 流動辦公、熱插拔、BYOD | MAC VLAN (小規模) / 802.1X + 動態 VLAN 指派 (大規模) |
| 多租戶、跨樓層/建築同一業務 VLAN | IP 子網 VLAN (三層交換核心) |
| 零信任、合規強制、微分段 | 策略 VLAN (需 NAC/防火牆/SDN 控制器) |